CVE-2023-28434 in Minio

الملخص

بحسب VulDB • 16/06/2026

Minio هو إطار عمل للتخزين الكائنات متعدد السحابة (Multi-Cloud Object Storage). قبل الإصدار RELEASE.2023-03-20T20-16-18Z، يمكن لمهاجم استخدام طلبات مُعدّة خصيصاً لتجاوز التحقق من اسم الدلو الوصفي (metadata bucket name) وإدراج كائن في أي دلو أثناء معالجة `PostPolicyBucket`. لتنفيذ هذا الهجوم، يتطلب المهاجم بيانات اعتماد تحتوي على إذن `arn:aws:s3:::*`، بالإضافة إلى تمكين وصول واجهة برمجة التطبيقات الخاصة بلوحة التحكم (Console API). تمت تصحيح هذه المشكلة في الإصدار RELEASE.2023-03-20T20-16-18Z. كحل بديل مؤقت، قم بتمكين الوصول لواجهة برمجة تطبيقات المتصفح وقم بتعطيل `MINIO_BROWSER=off`.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• مسؤول: GitHub, Inc.
• حجز: 15/03/2023
• إفشاء: 22/03/2023
• الاعتدال: تمت الموافقة
• إدخال: VDB-223633
• CPE: جاهز
• CWE: CWE-269 (مؤكد)
• CVSS: 8.8 (NVD)
• EPSS: 0.06681
• KEV: نعم
• النشاطات: منخفض جدًا

المصادر

• MITRE: https://www.cve.org/CVERecord?id=CVE-2023-28434
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2023-28434
• CVE Details: https://www.cvedetails.com/cve/CVE-2023-28434/